《电子商务安全解决方案.docx》由会员分享,可在线阅读,更多相关《电子商务安全解决方案.docx(20页珍藏版)》请在得力文库 - 分享文档赚钱的网站上搜索。
1、电子商务信息平安解决方案文档编号V10密级内部版本编号日期2021-07-31 信息平安技术有限2021年7月第一章前言1.1 概念电子商务通常是指是在全球各地广泛的商业贸易活动中,在因特网开放的网络环境下,基于浏览器/效劳器应用方式,买卖双方不谋面地进展各种商贸活动,实现消费者的网上购物、商户之间的网上交易和在线电子支付以及各种商务活动、交易活动、金融活动和相关的综合效劳活动的一种新型的商业运营模式。电子商务是利用微电脑技术和网络通讯技术进展的商务活动。各国政府、学者、企业界人士根据自己所处的地位和对电子商务参与的角度和程度的不同,给出了许多不同的定义。首先将电子商务划分为广义和狭义的电子商
2、务。广义的电子商务定义为,使用各种电子工具从事商务或活动;狭义电子商务定义为,主要利用Internet从事商务或活动。无论是广义的还是狭义的电子商务的概念,电子商务都涵盖了两个方面:一是离不开互联网这个平台,没有了网络,就称不上为电子商务;二是通过互联网完成的是一种商务活动。狭义上讲,电子商务Electronic Commerce,简称EC)是指:通过使用互联网等电子工具这些工具包括电报、 、播送、电视、 、计算机、计算机网络、移动通信等在全球范围内进展的商务贸易活动。是以计算机网络为根底所进展的各种商务活动,包括商品和效劳的提供者、广告商、消费者、中介商等有关各方行为的总和。人们一般理解的电
3、子商务是指狭义上的电子商务。广义上讲,电子商务一词源自于Electronic Business,就是通过电子手段进展的商业事务活动。通过使用互联网等电子工具,使公司内部、供给商、客户和合作伙伴之间,利用电子业务共享信息,实现企业间业务流程的电子化,配合企业内部的电子化生产管理系统,提高企业的生产、库存、流通和资金等各个环节的效率。联合国国际贸易程序简化工作组对电子商务的定义是:采用电子形式开展商务活动,它包括在供给商、客户、政府及其他参与方之间通过任何电子工具,如EDI、Web技术、电子邮件等共享非构造化商务信息,并管理和完成在商务活动、管理活动和消费活动中的各种交易。电子商务是利用计算机技术
4、、网络技术和远程通信技术,实现电子化、数字化和网络化,商务化的整个商务过程。电子商务是以商务活动为主体,以计算机网络为根底,以电子化方式为手段,在法律许可范围内所进展的商务活动交易过程。电子商务是运用数字信息技术,对企业的各项活动进展持续优化的过程。1.2 开展前景随着我国网络技术普及率的日益提高,通过网络进展购物、交易、支付等的电子商务新模式开展迅速。电子商务凭借其低本钱、高效率的优势,不但受到普通消费者的青睐,还有效促进中小企业寻找商机、赢得市场,已成为我国转变开展方式、优化产业构造的重要动力。根据前瞻网?2021-2021年中国电子商务行业市场前瞻与投资战略规划分析报告?1万亿万亿万亿元
5、。万亿万亿,同比增长25.0%,环比增长7.3%。2 第二章需求分析典型的电子商务系统拥有三级架构:直接面向交易用户的Web效劳器层,后台事务处理的应用效劳器层,后台数据存储的数据库效劳器层。用户的交易请求一定是经由Web效劳器应用效劳器数据库效劳器的顺序来实现的。典型的电子商务数据流过程:交易用户通过Internet浏览电子商务系统的Web效劳器,在页面上点击发起交易或查询请求; Web效劳器向应用效劳器发起事务处理请求,等待应用效劳器应答;应用效劳器将交易或查询信息传递到数据库效劳器,由数据库效劳器作应答;各级效劳器在收到后台应答后向前台设备作响应,最终响应给交易用户,完成一笔交易或查询。
6、如何建立一个既有先进技术支持,又有过硬的平安保障的网络,成了企业必须完成的一项任务。根据企业自身的开展以及企业自身的特点,决定建立一整套电子商务平台建立。内容如下:建立一整套高速、高性能、完整的网络运算平台建立一套高性能的防病毒、防黑客、防间谍系统确保网络的平安建立一整有效的网站防篡改系统,有效的保护网站不受黑客等的攻击和篡改建立一整套效劳器负载均衡系统,确保运算交易系统等的大量效劳器在全国范围内大规模交易用户能以最快速度进展交易建立一整套数据的存储和备份和灾难恢复系统,对每天产生的大量的数据进展有效的存储和保护。以备灾难发生时能及时有效的进展数据恢复建立一套大规模网络运维管理系统,对建成的网
7、络系统进展有效的管理和维护3 第三章方案设计3.1 方案设计原那么先进性:系统采用的技术必须是先进而成熟的。现在计算机技术的开展日新月异,要保护客户的投资就必须采用先进的技术,并且这种技术和产品必须被业界公认为成熟且有开展前途的。实用性:建立系统的目的是要解决企业数据信息的共享、交换和平安,提供现代化的管理,因此,设计方案的出发点就是要满足用户的信息要求。经济性:设计方案不但要考虑采用技术的先进、可靠,而且还必须考虑用户的经济负担。因此,设计方案必须具备很高的性能价格比。高可管理性与高可靠性:由于整个业务系统的设计采取集中式的管理策略,所以存储系统必须具备很高的可管理性。另外,计算机网络系统的
8、外部环境是多变的,设计方案必须是强健的,能够很方便地进展调整,以满足外部环境的变化。高可扩大性与升级能力:设计方案必须能够适应企业网络系统开展的需要,具备高可扩大性与升级能力。存储系统必须是可以扩大的,必须具备较高的扩展能力,而且随着计算机技术的开展可以对系统进展升级。开放性与标准化:设计方案中所采用的技术和选用的产品都必须是业界公认的主流,而且必须满足开放性的要求。3.2 数据存储、备份、灾难恢复系统方案设计3.2.1 方案描述本地存储藏份系统设计了一个核心主存储系统,一个备份系统,备份架构采用了业界先进的D2D2T模式,数据集中存放在“存储中心的磁盘设备上,这是第一个“D ,数据备份到备份
9、用的磁盘介质上,这是第二个“D,磁盘存储和备份及数据恢复都更加快速,以保证用户在数据或者系统出现故障时在最短的时间内使信息系统得到恢复。最后的“T是指每三个月将数据归档到磁带介质上,这样充分利用了磁带介质线型存储方式的平安和产品价格的低廉,并且节省了磁盘介质的空间。本地存储藏份归档系统的完善部属,一方面可以解决现有数据的集中存储问题和数据的备份问题。同时为后面进展异地容灾打下了较好的硬件根底。目标是构造一个以数据为中心,功能齐全、运行高效、使用灵活、维护方便、易于扩展、投资省、平安可靠的数据存储藏份系统,为了到达这个目标,必须遵守以下几个设计原那么:以原有存储资源的合理利用为根底,以数据为中心
10、,构架一个全新的数据备份模式存储藏份系统应以目前的Windows平台为主,同时还要考虑到将来关键业务系统与其它Unix、LINUX平台兼容提供较好的可扩展性能,保护贵单位投资提供完备的、易操作的备份管理功能。包括:在顶峰期不占用过多网络资源前提下,实现高效快速的数据备份与恢复;具有较高的数据读写速度和稳定性;具有完备的备份策略,如全备份、增量备份、差分备份、按需备份功能完备易于操作的备份管理系统。3.2.2 存储藏份系统部署1 备份效劳器备份效劳器的作用相当于备份系统的“大脑,管理制定整个备份系统 (包括全部需要备份的效劳器和存储设备、磁带归档设备)的备份策略和跟踪客户端的备份。效劳器是集中管
11、理的核心。系统数据在备份控制效劳器的统一控制和管理下,实现增量备份、差分备份,当数据量为海量数据,无法实现每天的完全备份时,可以把备份策略制定成增量,差分和全备份相结合的方式。每周/每月做一次全备份,其它时间每天作增量或差分备份,减少备份时间,提高备份速度。同时减少磁带的使用量。2 备份系统的控制备份控制效劳器对整个备份系统通过统一的管理控制软件进展控制,备份系统的备份策略的定义可以随时由备份控制效劳器灵活修改,在任何一台需要备份的效劳器上,可以通过设制备份策略在相应的时间对用户的数据库、操作系统、客户端系统及数据进展备份。高级磁盘备份和恢复通过基于磁盘的高级备份和恢复,包括合成备份、脱机备份
12、,可以实现更快的备份和恢复,进展零影响的备份。合成备份可以缩短备份时间,减少网络带宽需求,而且不会影响原始客户端。此外,合成备份使用户能够从一个备份映像进展快速的客户端恢复,而无需从多盘磁带和增量备份进展恢复即:我们经常说的D2D2T。建立多级恢复系统,以磁盘阵列为一级恢复设备,磁带设备作为二级恢复设备。上述数据备份系统的功能实现能够充分满足备份系统的要求,同时,由于其备份层次的灵活性,可以根据数据量和应用繁忙程度的不同而灵活实施备份。备份任务采用了上述灵活的备份管理功能,具有很多完善的备份系统控制和管理方法。3.2.3 备份策略设置:我们初步制定的备份策略为:每天做应用数据数据库、群件等和用
13、户数据的备份,尽量在中午或夜间进展。每三个月做系统的包括操作系统、数据库、群件、用户数据等全备份和数据归档,备份归档完后将磁带取出另存。每日的数据备份按一定备份策略执行,保存一段时间的数据如一个星期,过了该段时间后数据被覆写。由于备份设备采用高容量、高性能的磁盘设备,归档采用成熟平安的磁带存储技术,所有备份作业都能自动进展,无须人为干预。每三个月的系统全备份采用每日备份策略外的磁带,定义不同的备份策略,与每日的备份互不干扰,独立进展。3.3 防病毒、防黑客、防间谍系统方案设计3.3.1 防病毒系统3.3.1.1 概述病毒伴随着计算机系统一起开展了十几年,目前其形态和入侵途径已发生了巨大的变化。
14、目前几乎每天都有新的病毒出现在Internet上,并且由于其借助Internet上的信息往来,所以传播速度极快。随着计算机技术的不断开展,病毒也变得越来越复杂和高级。据2006年新华网调查结果显示,计算机病毒发作造成损失的比例为62%。浏览器配置被修改、数据受损或丧失、系统使用受限、网络无法使用、密码被盗是计算机病毒造成的主要破坏后果。基于以上这些情况,为了企业的财产免受损失,大多数企业都需要选择多层的病毒防卫体系,所谓多层病毒防卫体系,是指在企业的每个台式机上要安装台式机的反病毒软件,在效劳器上要安装基于效劳器的反病毒软件,在INTERNET网关上要安装基于INTERNET同关的反病毒软件,
15、因为对企业来说,防止病毒的攻击并不是某一个管理员的责任,而是每一个员工的责任,每一个员工都要做到个人使用的台式机上不受病毒的感染,从而保证整个企业网不受病毒的感染。3.3.1.2 病毒威胁分析目前绝大多数病毒传播的途径是网络。对于一个网络系统而言,针对病毒的入侵渠道和病毒集散地进展防护是最有效的防治策略。因此,对于每一个病毒可能的入口,部署相应的防病毒软件,实时检测其中是否有病毒,是构建一个完整有效防病毒体系的关键。l 来自系统外部Internet或外网的病毒入侵:这是目前病毒进入最多的途径.因此在与外部连接的网关处进展病毒拦截是效率最高,消耗资源最少的措施。可以使进入内部系统的病毒数量大为减
16、少。但很明显,它只能阻挡进出内部系统病毒的入侵。l 网络邮件/群件系统:如果网络内采用了自己的邮件/群件系统实施办公和信息自动化,那么一旦有某个用户感染了病毒,通过邮件方式该病毒将以几何级数在网络内迅速传播,并且很容易导致邮件系统负荷过大而瘫痪。因此在邮件系统上部署防病毒也显得尤为重要。l 文件效劳器:文件资源共享是网络提供的根本功能。文件效劳器大大提高了资源的重复利用率,并且能对信息进展长期有效的存储和保护。但是一旦效劳器本身感染了病毒,就会对所有的访问者构成威胁。因此文件效劳器也需要设置防病毒保护。l 最终用户:病毒最后的入侵途径就是最终的桌面用户。由于网络共享的便利性,某个感染病毒的桌面
17、机可能随时会感染其它的机器,或是被种上了黑客程序而向外传送机密文件。因此在网络内对所有的客户机进展防毒控制也是非常重要的。3.3.1.3 解决方案建议方正熊猫防毒我们建议采用业界和行业认可技术性能优异的方正熊猫防病毒体系部署解决。方正熊猫产品,获得所有世界顶级权威认证。该系统的部署可满足系统平安以下主要需求: 简易的安装和配置操作Internet访问的稳定性、平安性十分重要。防毒产品的安装和设置应尽量简易,充分考虑系统数据、文件的平安可靠性,所选产品与现系统具有良好的一致性和兼容性,以及最低的系统资源占用,保证不对现有系统运行产生不良影响。 可管理性企业日益重视其IT环境的总体拥有本钱TCO。
18、在有限的人力资源情况下,IT管理员的工作是非常复杂和繁忙的,要管理好防病毒系统的安装、升级、配置和工作报告是一个非常繁琐的事,因此产品本身应带有集成的、易用的管理工具,管理员可以从一个集中管理控制台对整个防毒系统进展监控管理和维护。 软件的可升级性可升级能力是衡量防病毒系统是否具有生命力的重要指标。防毒软件的特点是随着各类新病毒的出现而必须尽快进展更新和升级,其中包括病毒定义、产品组件的更新。 系统的可扩展性在信息时代,企业的信息系统都处于飞速膨胀的过程之中。防病毒系统也应适应企业的开展趋势,自身具有较大的可扩展能力。充分保护用户的现有投资,适应计算机系统开展的需要。 降低系统总体本钱在让客户
19、在获得优质的防病毒效劳的同时,能够尽量减少所需增加的费用支出。 强大的病毒去除能力如果选用的防病毒软件病毒去除能力较弱,在病毒爆发的情况下,管理员会为了彻底去除网络中的病毒而疲于奔命,即使采用病毒专用去除工具,这样在较长时间内网罗中病毒会一直存在。采用世界最先进的去除病毒能力较强的防毒产品,可确保计算机网络系统具有最正确的病毒、黑客软件防护能力。同时也降低了管理人员的工作量和防病毒产品的维护本钱。 优秀的产品性能选用产品应具备对多种文件格式、多层压缩文件的病毒检测。对包括各种宏病毒、变体病毒和黑客程序等病毒具有最正确的病毒检测率,对未知病毒亦有良好的检测能力。在提高病毒检测力的同时,对检测出的
20、病毒也有很高的去除能力,依靠程序本身就可彻底去除感染文件的病毒,减轻管理人员对中毒事件的介入,把更多的精力放在构建完整的病毒防护体系和管理工作上。 新病毒的快速响应在全球范围内每周产生大约2000只以上新病毒的情况下,每周的病毒库更新使用户在病毒出现后和下次更新前,会存在感染病毒而防病毒软件根本无法识别的风险。而每天两次病毒数据库的更新,紧急情况下45分钟的全球用户更新,确保在任何新病毒出现的情况下通过快速高效的防病毒更新机制,使所有用户得到最大程度的防病毒保护。因此对于整个网络而言,需要采取综合的防护措施,构筑全方位的平安保护系统,才能得到真正有效的防病毒平安。方正熊猫平安网关:熊猫平安网关
21、能够针对 、 S、FTP、SMTP、POP3 等协议流量进展双向的过滤扫描,来到达对企业内网用户和效劳器的保护,并防止内网已感染病毒的客户端和效劳器对外扩散病毒。在云的 Internet 应用协议流量中通常 流量所占的比重最大,因此 协议的检测性能是网关防病毒的关键性能指标。为了实现防病毒平安网关系统超强的应用防护功能, 自主开发了操作系统 SecOS。SecOS 支持多核、多引擎并行处理,且优化重写了 TCP 协议栈,具有模块化的应用处理架构,能够根据 Internet 应用平安的需要将多种功能集成到一起,为设备功能的扩展鉴定了良好的根底,并且能够实现多引擎的并行处理。如下列图所示。3.3.
22、2 防黑客攻击3.3.2.1 黑客攻击方式黑客能够对网络进展攻击的主要原因是网络系统的缺陷与漏洞。黑客常用的攻击方式有: 网络监听,网络监听的关键是将网卡设置为混杂模式的状态。常用的监听工具有Sniffit、Windump ,防范监听的方法之一是加密 端口扫描,利用常用的扫描工具如SATAN、NSS、Strobe、Superscan和Ping命令、Tracert命令等人工方式对系统开放的端口进展扫描 口令破解,一般的口令破解方式是从存放许多常用的口令的数据库中,逐一地取出口令进展尝试;另一种做法是设法偷走系统的口令文件,如E-mail欺骗,然后用口令破解工具破译这些经过加密的口令 IP欺骗,通
23、常是用编写的程序实现伪造某台主机的IP地址,被伪造的主机往往具有某种特权或者被另外的主机所信任 拒绝效劳攻击简称DoS。这种攻击行动使网站效劳器充满大量要求回复的信息,消耗网络带宽或系统资源,导致网络或系统不胜负荷以至瘫痪而停顿提供正常的网络效劳 缓冲区溢出(又称堆栈溢出)攻击是最常用的黑客技术之一。这主要是因为C语言不检查缓冲区的边界。在某些情况下,如果用户输入的数据长度超过应用程序给定的缓冲区,就会覆盖其他数据区。就是通常说的“堆栈溢出或缓冲溢出拒绝效劳攻击3.3.2.2 解决方案建议3.3.2.2.1 网络边界平安隔离我们对XXXX公司电子商务平台网络划分为企业网与互联网之间的边界和效劳
24、器区与局域网之间的边界,利用网络隔离设备如防火墙或平安网关设备分别进展隔离保护,提供可控的过滤网络通信,只允许授权的通信。配置策略建议: 公网接口:配置ACL访问控制、ASPF 基于应用层的报文过滤、深度业务监控等多种功能。本策略仅允许从园区网内部主动发起的TCP连接,即如果报文是内部网络用户发起的TCP连接的返回报文,那么允许其通过防火墙进入内部网络,其他报文被制止; 园区内部通过NAT访问Internet:首先需要确认访问Internet的流量,然后对这些流量的地址进展NAT转换,其次要设置地址池,即申请到的公网地址。本策略保证内部网络平安的访问Internet; Internet用户访问
25、园区内部公共效劳器:在园区出口配置NAT Server,将一个公网的地址与内部效劳器地址关联起来。Internet用户向公网地址发起连接,在防火墙的公网接口上将该报文IP目的地转换为内部效劳器地址,即可以到达内部公共效劳器的访问目的。在公网接口上启用nat server,提供WWW/MAIL等效劳; 设备流量镜像配置:将防火墙内网接口上的进出流量在交换机上镜像到接有流量监控软件PC的内部端口上进展流量查看、统计和管理控制。本策略是为了有限的带宽被合理的利用,保证效劳器能正常的为外部客户提供效劳3.3.2.2.2 漏洞扫描系统除利用防火墙控制对网络的入侵外,还需要针对主机系统的漏洞采取检查和发现
26、措施。目前常用的方法是配置漏洞扫描设备。主机漏洞扫描可以主动发现主机系统中存在的系统缺陷和可能的平安漏洞,并提醒系统管理员对该缺陷和漏洞进展修补或堵塞。对于漏洞扫描的结果,一般可以按扫描提示信息和建议,属外购标准产品问题的,应及时升级换代或安装补丁程序;属委托开发的产品问题的,应与开发商协商修改程序或安装补丁程序;属于系统配置出现的问题,应建议系统管理员修改配置参数,或视情况关闭或卸载引发平安漏洞的程序模块或功能模块。漏洞扫描功能是协助平安管理、掌握网络平安态势的必要辅助手段,对使用这一工具的平安管理员或系统管理员有较高的技术素质要求。考虑到漏洞扫描能检测出防火墙策略配置中的问题,能与入侵检测
27、形成很好的互补关系:漏洞扫描与评估系统使系统管理员在事前掌握主动地位,在攻击事件发生前找出并关闭平安漏洞;而入侵检测系统那么对系统进展监测以期在系统被破坏之前阻止攻击得逞。因此,漏洞扫描与入侵检测在平安保护方面不但有共同的平安目标,而且关系密切。本方案建议的漏洞扫描系统必须既能扫描路由器、交换机、防火墙等网络设备,也可扫描Windows、常用Unix和Linux操作系统,以及应用系统主机、对外效劳主机WEB、E-MAIL等。3.3.2.2.3 入侵检测系统入侵检测技术是一种利用入侵者留下的痕迹,如试图登录的失败记录等信息来有效地发现来自外部或内部的非法入侵的技术。它以探测与控制为技术本质,起着
28、主动防御的作用,是网络平安中极其重要的局部。入侵检测功能是防火墙的合理补充,帮助系统对付网络攻击,扩展了系统管理员的平安管理能力包括平安审计、监视、进攻识别和响应,提高了信息平安根底构造的完整性。它从计算机网络系统中的假设干关键点收集信息,并分析这些信息,查看网络中是否有违反平安策略的行为和遭到袭击的迹象。入侵检测被认为是防火墙之后的第二道平安闸门,在不影响网络性能的情况下能对网络进展监测,从而提供对整个网络系统的实时保护。通过入侵检测系统的实施,可实现如下平安防护:1检测黑客入侵的方法和手段从网络中搜集到网络行为的信息后,通过分析其中的各种攻击特征,可以全面快速地识别各种网络攻击,如:扫描探
29、测攻击、口令猜想攻击、缓冲区溢出攻击、邮件炸弹攻击、拒绝效劳攻击、浏览器攻击等,并对攻击行为采取相应的防范措施。2监控内部人员的误操作、资源滥用和恶意行为网络IDS记录网络行为的属性、特征、来源和目标,并能在控制台的监控视图上显示实时活动的TCP连接和正在访问的URL。网络IDS会对网络中不正常的通信连接做出反响,从而保证所有网络通信的合法性;任何不符合网络平安策略的网络数据都会被网络IDS探测到并报警。网络IDS可以根据用户需要定义各种需检测的平安事件,例如对特定目标主机的访问的检测、对数据传输中包含的特定内容的检测。这样可以及时发现违反平安规定的误操作、资源滥用和恶意行为。网络IDS可以监
30、控的误操作、资源滥用和恶意行为有:l 对重要效劳器的过于频繁的访问,致使系统效率下降;l 非授权用户对重要效劳器的屡次登录请求;l 对重要文件的拷贝、删除和移动;l 上网聊天、网络游戏和上下载大型文件;l 浏览非法网站和不安康网站;l 利用FTP、Telnet、Web、聊天、电子邮件等泄露商业、技术机密。3检查系统漏洞及后门网络IDS带有目前的系统漏洞及后门的详细信息,这些信息包括事件名称、事件描述、发布日期、更新日期、解决方案和受影响的系统平台等。通过对网络会话的连接方式、连接端口以及连接中的特定内容等特征的分析,可以有效地发现网络中利用系统漏洞所进展的非法行为。网络IDS提供的详细信息可以
31、帮助系统管理员及时有效地修补系统存在的漏洞。4实时报警和响应网络IDS在检测到入侵行为后,可以根据用户预先定义的事件响应规那么进展实时的报警。为了便于系统管理员对网络进展平安管理,网络IDS提供了多种报警手段。报警信息可以通过发送系统消息Pop-UpMessage、电子邮件、手机短信息、寻呼等多种方式通知系统管理员;并且所有的报警信息都将记录到日志文件中,以备核查。为了加强网络系统的入侵防御能力,网络IDS还能够针对恶意攻击进展实时响应,响应的手段有:中断TCP会话、伪造ICMP应答、根据黑名单断开、阻塞 请求、模拟SYN/ACK和执行用户自定义程序等。5加强网络的平安管理借助网络IDS系统,
32、网络管理人员可以随时了解人们正在进展的网络访问。这样,当有人试图偷窥或盗取敏感数据时网络管理人员可以及时发觉。而且,能够同时监控内部和外部网络行为的入侵检测系统可以使平安策略更臻于完善。借助于对网络内部误用模式的监控,系统管理员能够及时觉察网络攻击及其它非法行为,并能够追溯这些非法行为的来龙去脉。3.3.2.3 Web防火墙设计方案电子商务企业的主要生产模块是通过网络进展,网站的运行正常与否,直接关系到电子商务企业的生产经营正常与否,甚至会直接影响到电子商务企业的生存。从平安角度考虑,需要针对目前泛滥的SQL注入、跨站脚本、应用层等Web应用攻击,提供有效检测、防护,降低攻击的影响,从而确保业
33、务系统的连续性和可用性。另一方面,还需要对投入本钱进展考虑。“本钱不仅仅意味着购置平安产品/效劳产生的直接支出,还需要考虑是否影响组织的正常业务、是否给维护人员带来较大的管理开销。最为理想情况,解决根本问题是对Web应用代码进展整改,严格遵循平安编码,确保网站平安。但通常,我们会发现为此付出的代价过大,对正常业务开展有很大影响。Web应用防火墙Web Application Firewall,代表了一类新兴的信息平安技术,用以解决诸如防火墙一类传统设备束手无策的Web应用平安问题。与传统防火墙不同, web应用防火墙工作在应用层,因此对Web应用防护具有先天的技术优势。基于对Web应用业务和逻
34、辑的深刻理解, web应用防火墙对来自Web应用程序客户端的各类请求进展内容检测和验证,确保其平安性与合法性,对非法的请求予以实时阻断,从而对各类网站站点进展有效防护。web应用防火墙系统特性u 应用多维防护体系,有效应对SQL注入、跨站脚本及其变形攻击,提供细粒度应用层攻击防护u 网页防篡改系统支持-Linux、Windows、BSD系统u Web加速支持u 实时检测网页篡改,降低网站平安风险u 提供挂马主动诊断功能,维护网站公信度u 敏感信息扫描和过滤u 透明平安检测,不用改变网络拓扑u 提供多种负载均衡算法u 支持虚拟主机部署,适合IDC环境u 支持WebMail的平安检测u 攻击、特征
35、库在线平滑升级u 提供High AvailabilityHA,有效防止网络单点故障网页篡改防护针对目前猖獗的网页篡改问题,方正web应用防火墙提供完整的解决方案。方正web应用防火墙产品优势:1. 立体式Web防护网络。通过WAF、端点的网页防篡改系统支持,提供完整的Web平安解决方案。2. 基于文件夹驱动级保护技术,事件触发机制,确保系统资源不被浪费。 不同于一些文件轮询扫描式或外挂式的页面防篡改软件,页面防篡改模块采用的是与Web 效劳器底层文件夹驱动级保护技术,与操作系统支持windows 2000/xp/2003/2021, Linux/BSD系统严密结合的。而且在Web 效劳器对外发
36、送网页时进展网页防篡改检测。这样做不仅完全杜绝了轮询扫描式页面防篡改软件的扫描间隔中被篡改内容被用户访问的可能,其所消耗的内存和CPU 占用率也远远低于文件轮询扫描式或外挂式的同类软件。采用网络串联方式对页面进展实时防护;支持对动态、静态网页的检测和防护;3. 采用文件级驱动保护技术后,用户每次访问每个受保护网页时,Web 效劳器在发送之前都进展完整性检查,保证网页的真实性,可以彻底杜绝篡改后的网页被访问的可能性,全面和实时地保护网站的所有网页文件。,提供完整网页防篡改解决方案。4. WAF联动。网页防篡改与WAF联动,阻断Web威胁。3.4 操作系统与数据库平安操作系统是计算机和用户之间的接
37、口,是管理资源的核心系统,是系统的灵魂。但由于我国尚无可供办公和业务应用的自主知识版权的操作系统,因此大多数采用Unix、Windows系列操作系统。根据国家保密局技术要求,对于操作系统平安的解决方案,应尽可能采用平安操作系统,或者对其操作系统采取平安加固措施,如:使用正版软件,及时发现漏洞并打补丁,利用监控和审计系统加强对操作系统可能引发的平安问题予以监视、审计和告警。另外,系统内应尽可能选用经国家相关主管部门批准使用的平安数据库,或者采用技术措施如,平安中间件对数据库在数据存储与访问的机密性、完整性和可用性方面进展平安增强改造。3.5 大规模网络平安运维管理系统方案设计3.5.1 运维管理
38、体系3.5.2 实现方式我们建议技术上采用大型企业平安运维管理系统为企业解决支撑关键业务的网络、主机、应用系统运行监控和内部网络桌面PC平安管理,在设计上遵循国际IT效劳管理标准ITIL标准和IT平安管理标准ISO17799标准。采用统一的WEB管理门户,以WEB方式展现整个IT系统的运行状况,包括桌面PC的资产信息、平安信息,网络、效劳器、数据库、应用系统的故障和性能信息。通过WEB门户,对桌面PC、网络、效劳器进展集中维护,统一设置平安策略。3.5.3 桌面平安管理功能具体来说,桌面平安管理采用集中式管理方式,提供了以下几个方面的管理功能: 网络准入控制,防止非法电脑接入 支持基于的网络准
39、入控制; 在非的环境下,也可以实现接入控制; 用户可以自行定义多种准入控制策略; 防止有平安隐患的电脑或者非法电脑直接访问内部网络。 设备自动发现与资产管理 自动发现网络上的所有接入设备; 可依据IP/MAC/主机名以及资产的配置对接入设备快速定位; 自动发现组织内所有PC机的软硬件配置信息、PC机网络连接信息和运行状态信息,建立资产基线; 支持配置变更自动发现与报警; 自动维护软硬件配置变更历史信息。 桌面平安主动评估,发现平安隐患 自动发现存在平安隐患的PC机,并提示系统管理员和用户要采取的弥补措施; 桌面电脑网络流量异常评估,及时发现异常流量桌面PC; 桌面电脑平安配置评估,及时发现平安
40、设置不完善的桌面PC; 可疑注册表项、可疑文件检查; 灵活配置各种平安隐患条件; 多种方式控制/限制存在平安隐患的PC机接入内部网络。 桌面平安加固,防患于未然 补丁漏洞自动修复,支持桌面PC操作系统补丁、MS应用软件补丁自动更新、自动升级; 支持登录口令强度、Guest帐户、屏幕保护检测,加固主机平安性; 制止各种默认共享、制止修改IP地址、制止修改注册表; 强制安装防病毒软件与更新病毒库; 制止运行非法进程等; 远程协助与监控,不到现场、胜过现场 实时监控客户端画面; 可以选择远程控制或者只监视不控制,满足各种场合的需要; 可以同时监控多台客户端画面。3.5.4 统一运行监控功能在系统监控
41、上,遵循IT效劳管理标准ITIL标准。作为通用系统管理平台,实现网络、防火墙、IDS、主机、数据库、应用系统等的运行状况监控。采用集中式管理方式,提供了以下多个方面的运行监控功能: 网络系统监控 支持主流网络设备监控,包括思科、华为、3Com、北电、阿尔卡特等; 监控网络设备CPU、内存; 监控网络线路的连通性、响应时间、流量、带宽利用率、播送包、错包率、丢包率等。 主机系统监控 支持主流操作系统的主机监控,包括Windows效劳器、Linux效劳器、AIX、Solaris、HP-UX; 监控主机设备的CPU、内存、磁盘、网络接口状态和流量、对外提供的效劳状态和响应时间、进程的CPU和内存。
42、数据库系统监控 支持主流数据库系统的监控,包括SQL Server、DB2、Oracle、Sybase; 监控数据库系统的效劳状态,数据库效劳主要进程的状态、CPU利用率和内存大小,数据库表空间利用率、日志空间利用率、并发连接数,指定SQL语句的执行效率。 应用系统监控 支持主流应用系统的监控,包括WEBSphere、WEBlogic、IIS、WEB效劳器、邮件效劳器; 监控这些应用系统的主要进程CPU、内存,应用系统的响应时间。 可自定义的监控画面 管理员可以根据实际系统和管理理念,自己定义和组织监控画面,包括监控画面之间的层次构造、监控画面内容、监控画面的访问权限。 统一日志监控 集中采集
43、所有网络设备、主机设备的系统日志,并将管理员需要关心的日志信息通过告警事件方式及时通知管理员。 内置上百种监控参数模板 为了方便管理员设置要监控的参数,LeagViewTM缺省带了上百种监控参数的配置模板,管理员只要选择要监控哪个设备的哪个参数。 智能化的故障处理 可以为每类故障事件定义处理流程,LeagViewTM根据这些流程自动处理故障,包括何时以什么方式将故障通知给哪些相关人员。此外,支持信息资产平安分级管理,各种平安管理策略可以按照:部门、IP网段、IP范围、设备组、操作系统类型、操作系统语言等条件定义平安管理策略的应用范围。4 第四章收益v 风险需求、本钱投入及效果收益相平衡的原那么v 通过云信息平安建立工作,可促进业务的开展;v 综合性、整体性、一致性原那么;v 可扩展、可开展性原那么,所选产品具有可扩展性,以减少用户后期投资;v 对效劳器进展平安防护,以保护数据;v 过滤来自过滤来自互联网的病毒、木马程序、黑客软件等。v 可保障移动办公终端到内网的传输平安;以防止被非法监听。v 通过对网络连接状况和异常的监视,了解网络系统的状况,如果系统出现异常能够马上发现问题。
限制150内